「サイバーセキュリティの近未来」（２）

６．AIとセキュリティの関係

　急速に発展するデジタル技術の中でも、注目を集めているのが人工知能（AI）。この技術は２つの意味で、サイバーセキュリティと関わってくる。

１）AIによるサイバーセキュリティ
　 前回述べたように、サイバー攻撃を仕掛ける側は自動化の手法を使ってくる。ID・パスワードの組み合わせを多くのサイトにぶつけて開こうとするリスト攻撃などは、その初歩的な例だ。ここにAIが加わると、IDの持ち主の嗜好を考慮してより可能性の高いサイトを選び出して攻撃することも考えられる。これに対して自動化された攻撃には自動化された防御が望ましいが、その自動防御にAIが活用できると考えられている。

　サイバー攻撃者にも種々の特徴やパターンがあり、過去の攻撃例を学習したAIが、攻撃の検知、分析、対応を自動的に行うものだ。利点として、ヒューマンエラーを軽減し、対応を迅速化できる。

２）AIのためのサイバーセキュリティ
　 AIの能力は、当該システムに与えるデータの質と量によって左右される。入力するデータ量が多いほど、多くのケースに対応できるAIに成長してくれる。しかしこれらの入力データに偽データが混じってしまうと、成長が歪んでいく。

　プラント制御のAIシステムの例で考えると、各所に配置されたセンサーからのデータと、プラント全体の出力をモニターしながらAIが正しく成長していく。ここで出力データに間歇的に偽データを混ぜるなどすれば、成長が遅くなるだろう。トラブル時にプラントを停止するなどの対応を設定しても、正しい対応ができなくなる恐れもある。AIに与えられるデータの真正性やフィードバックの的確さも、サイバー攻撃の対象たり得るので留意が必要だ。

　加えて「生成AI」の登場で注目された新しいリスクについても紹介したい。生成AIが画像・動画・音声を容易に作り上げることから、本物そっくりのフェイク画像や音声付動画が作られかねない。著作権者の権利侵害や、雇用の喪失などが懸念されている。しかしサイバーセキュリティ業界では、もう一つのリスクに着目している。それは、生成AIのプログラミング能力。

　生成AIを使えば、十分なクラッキングの知識がない者でも、非常に高度なマルウェアを開発することができる。もちろん生成AIのサービス事業者は、社会的に問題となるような要求は排除する仕組みを付けているのだが、ある種の問いかけ方（プロンプト・エンジニアリング）をすると、この仕組みをすり抜けることができる。サービス事業者がその方法をチェックするようにしても、新しいすり抜け方を考える者もいて、簡単には決着しない。少なくとも以前より高度なマルウェアの開発は、攻撃者にとって容易になったと考えるべきだ。

７．いざ、インシデントが起きてしまったら

　サイバーセキュリティの９割は、何か起きた際の準備である。企業内のIT/OT含むデジタル環境を整理し、見える化する。従業員・デバイス・ネットワーク・ハードウェア＆ソフトウェア・アプリケーションそしてデータはどうなっているか。その上で「ゼロ・トラスト」の考え方を導入して、日々の業務の安全・安心を計る。必要ならクラウド利用、自動化で運用を楽にする。

　これらは全て、CIOやCISOが主導する体制、要員、設備、予算も含めた準備である。また、IT部門、セキュリティ部門以外の、経営層・管理者・一般従業員を含めた教育も必要である。そして外部の企業、組織との関係も、いざという時のために構築しておくのが望ましい。インシデントが起きた時、

　などの事態を招きかねない。準備の一環として、インシデント対応シミュレーションを経営層主導で行うことを是非勧めたい。これによって自社の課題が整理でき、取引先・行政機関・協力機関（弁護事務所や会計監査、セキュリティベンダー等）との関係強化の必要性も、経営者自身が理解できるからだ。